案例研究｜华鼎供应链通过JumpServer安全运维云端资产

成立于2019年的河南华鼎供应链管理有限公司（以下简称为华鼎供应链）是一家冷链食品流通服务商。目前，华鼎供应链在全国拥有25个分支机构，14个省级中心仓，仓储面积25万平方米，干支线网络1870条，冷藏车超过3000辆，日订单处理数量超过40万件，服务包括锅圈食汇、蜜雪冰城、书亦烧仙草、夸父炸串、五芳斋、马路边边等餐饮连锁、新零售、生产工厂各类客户超过700家，服务终端门店数量超过100,000个。

在华鼎供应链的信息化建设进程中，已对报货APP、WMS（仓库管理系统）、OMS（订单管理系统）、TMS（运输管理系统）、ERP（企业资源计划）、POS（销售终端），以及上、下游客户端等八大类18项子系统进行了高度融合，实现了客户一键下单、一键支付、一键查询、一键收货等功能。

目前，华鼎供应链拥有自己的云信息中心，在职研发人员超过150人，部门包括研发组、测试组、实施组以及运维组等，公司的IT应用架构已经全部迁移至阿里云。

IT运维的痛点

随着公司业务的迅速扩张，在日常的运维过程中，华鼎供应链云信息中心的运维团队面临着很多问题和挑战：

■ 资产缺乏统一访问入口

华鼎供应链目前拥有上百台IT资产，主要用于运维、开发和测试人员的日常访问。人员访问较为分散，缺乏统一的资产访问入口，难以对用户的访问进行有效的监管，运维团队的管理工作面临很大的压力，也存在着很大的运维风险；

■ 权限分配难、缺乏定责手段

在日常访问中，华鼎供应链的运维管理人员缺乏有效的权限管控手段，很难做到权限的统一管控和安全审计，无法对用户的操作权限进行有效的管控，经常出现多人使用同一个账号进行访问的现象。

同时，管理员也缺乏相应的审计手段。这就导致了系统在出现安全事件后，经常会有人员相互推责的情况，管理员难以对事故发生的原因进行追溯，也无法定责到具体人员，不能避免同一安全事故的再次发生；

■ 等保三级认证的需要

近年来，国家对于信息系统安全的重视程度越来越高。作为一家全国性的企业，华鼎供应链非常重视信息系统安全建设，每年都会进行国家信息安全等级保护评测。而堡垒机作为通过等保的重要实现工具，华鼎供应链需要专业的堡垒机来满足权限分离控制与事件追踪溯源的要求，助力企业顺利通过等保三级认证。

为什么选择JumpServer堡垒机？

在2021年之前，华鼎供应链一直使用的是云堡垒机。使用下来存在着很多的问题，并且原有云堡垒机的功能也无法满足公司后续不断扩展的使用场景需求。

2021年5月，华鼎供应链云信息中心的运维团队对JumpServer进行了部署测试，在测试过程中发现JumpServer所提供的功能不仅比之前使用的云堡垒机更加强大和丰富，能够满足公司当前的运维需求，还解决了之前云堡垒机产品的一些运维痛点。具体包含以下几点：

1.符合等保三级的合规要求

JumpServer堡垒机是符合4A规范的运维安全审计系统，并且获得了公安部颁发的《计算机信息系统安全专用产品销售许可证》。在功能上，JumpServer堡垒机满足了国家三级等保方案中对堡垒机功能的具体要求，可以帮助企业快速构建身份鉴别、访问控制、安全审计等方面的能力，为华鼎供应链通过等保三级认证提供了强有力的支持；

2.权限分离控制

通过JumpServer，企业可以实现用户个人权限的责任化，每个用户都有独立的账号密码进行登录访问，杜绝了账号共用的情况。管理员还能够对用户的访问以及操作权限进行控制，一旦出现问题，可以有效避免推诿扯皮现象的发生；

3.事件追踪溯源

通过JumpServer的录像审计功能，一旦系统发生故障或者安全事故，管理员可以通过查看操作录像来查找问题的根源，记录事件发生的原由，快速定位责任人，回顾运维事故，避免事故的再次发生。

JumpServer的使用经验

2021年7月，JumpServer正式在华鼎供应链上线，并在公司内部推广使用，至今已稳定运行将近两年的时间。针对JumpServer的部署和日常运维，华鼎供应链希望分享的经验包括：

1.单点故障风险预防

目前华鼎供应链采用的是JumpServer单机部署的部署方式，如果系统发生故障，就会影响正常的运维工作。为保障系统的正常运行，运维团队使用Zabbix监控系统来监控JumpServer堡垒机所在服务器的运行状态，实时检测端口、磁盘等信息，一旦出现异常及时发布告警信息，实现有效预警。

同时，通过云镜像、数据库备份等手段对堡垒机做好数据备份，以便出现故障后及时进行数据恢复；

2.云资产自动同步

JumpServer支持对公有云、私有云资产的自动同步。华鼎供应链的系统架构与资产已全部迁移至云端，管理员和用户可以通过JumpServer实现云上资产的快速管理和访问，大幅提升了运维效率；

3.资产访问控制

华鼎供应链位于云端的IT资产包括Linux服务器、Windows服务器、网络设备、数据库等多种资产类型。针对重要的资产，管理员需要设置资产登录复核机制，并且对接钉钉进行工单审批，以便于管理员掌控重要资产的人员访问信息。

同时，通过JumpServer还可以实现资源节流，根据项目的资源状态合理调配资源，实时监控资源变化，及时扩张或者缩减云端资源，降低系统的整体运行成本；

4.定期改密

对于不再使用的资产，管理员需要及时回收资产的账号密码。管理员还可以对所有资产进行定期批量修改密码，并根据用户需求制定不同的密码策略，有效防止资产账号密码的泄露，有效保护云端资产的安全性；

5.运维管理制度的配合

对于堡垒机来说，“产品解决运维审计的需求”只是其价值落地的一个方面。另一方面，堡垒机的高效使用还需要配合严谨的运维管理制度。企业需要根据自身内部要求制定完善的运维管理制度，摒弃以往直连资产的方式，要求所有用户必须通过JumpServer访问资产，不允许直连资产。有了制度的保障，企业才能更好地实现安全审计的目标。